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Abstract of DEI 01 59398 

The invention relates to a method for storing and accessing useful data (48) and configuration data (62) in 
a mobile device (10) that is linked with a user module (12). According to a first embodiment of the 
invention, the at least part of the useful data (48) is stored in the mobile device (10) in encrypted form 
and, when the data is accessed, decrypted using a decryption function (66) of the user module (12) 
According to asecond embodiment of the invention, the configuration data (62) is stored in the user 
module (12). The configuration data (62) indicates whether and to what extent an application program 
(46) may be executed by the mobile device (10). The invention increases security of useful data (48) and 
application programs (46) In the mobile device (10) and protection against unauthorized access thereto. 
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Die f oigenden Angaben sind den vom Anmelder eingereichten Unterlagen entnommen 

(g) Speichern von und Zugreifen auf Daten in einem Mobilgerat und einem Benutzermodul 
(§) Die Erfindung betrffft Verfahren zum Speichern von 

und Zugreifen auf Nutzdaten (48) und Konfigurationsda- 

ten (62) in einem Mobilgerat (10), das mit einem Benutzer- 
modul (12) verbunden ist. Nach einem ersten Aspekt der 

Erfindung werden die Nutzdaten (48) im Mobilgerat (10) 

zumindest teilweise in verschlusselter Form gespeichert 

und bei Zugriffsvorgangen unter Verwendung einer Ent- 

schlusselungsfunktion (66) des Benutzermoduls (12) ent- 

schiusselt. Nach einem zweiten Aspekt der Erfindung 

werden die Konfigurationsdaten (62) im Benutzermodul 

(12) gespeichert. Die Konfigurationsdaten (62) geben an, 

ob bzw. in welchem Umfang ein Anwendungsprogramm 

(46) von dem Mobilgerat (10) ausgefuhrt werden darf. 

Durch die Erfindung werden die Sicherheit und der 

Schutz gegen unberechtigte Zugriffe auf Nutzdaten (48) 

und Anwendungsprogramme (46) in dem Mobilgerat (10) 

erhoht. 
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Beschreibung 

[OODl] Die Erfindung betrifft allgeniein das technische 
Cf-ebiet des Spdcherns von und Zugreifens auf Dalen in Mo- 
bilgeraten sowie in Benutzermodulen fiir derartige Gerate. 5 
Ein bevorzugtes Einsatzgebiet der Erfindung sind Mobilge- 
raJe, die dem Benutzer sowohl Telekommunikationsfunktio- 
nen (z. B. die Sprach- und/ oder Datenubertragung tiber ein 
TelekonuTiunikationsnetz) als auch Anwendungsprogramme 
(z:-.B. einen Tenninplaner oder einen Texteditor) bereiutel- 10 
leu. Derartige Mobilgerate konnen insbesondere als lei- 
stwngsfahigc Mobiltelefone oder als personliche digitale As- 
sislenten (PDAs = personal digital assistants) ausgestallet 
s&in. 

[O0D2] Die deutsche Offenlegungsschrift is 

DH97 24 901 Al zeigt ein Mobiltelefon nach dem GSM- 
St.andard (OSM = global sysiem for mobile communica- 
tion). Das Mobiltelefon wcist. cine Sicucrcinhcit, einen Gc- 
ratespeichcr und einc Schnittstelle fur ein Teilnehmeridenti- 
fikationsniodul (SIM = subscriber identity module) auf. 20 
Uber einc Ixiiungsvcrbindung mit einem Computer konnen 
Nutzdalen, z. B. Adrcssenlisten oder Umsatzdaten oder 
Preislisten, in <lcn Gcraiespeicher geladen werden. Femerist 
die Mogliclrkci! vorgeschcn, uber die Leiiungsverbindung 
nicht nailer sjx;/.iri/.icrlc Progrduinie in den Geriitespeicher 25 
zu laden und spliicr durch das Mobiltelefon ausfuhren zu 
lassen. Die Daicniibertragung kann integritatsgesichert oder 
verschlusscli crlblgcn. 

[O€03] In dcr Rcgcl wird beim Einschalien eines GSM- 
Mobiliclcfons cine Bcrcchtigungsabfrage durchgefiihrt, bei 30 
der der Bcnui/rr cine personliche Geheimzahl (T*IN = perso- 
nal ideniificaiion number) cingeben muss. Die vollsiandige 
BenutzcrobcrnaL-hc ci^^scll^ic6lich der Zugriftsmoglichkeit 
auf die in dcni Mobilielefon gcspeicherten Nutzdaten wird 
nur bei korreklcr Eingabc dcr Geheimzahl freigegeben. Die 35 
meisi veriniulichcn Nuizdalen sind damit in gewissem Um- 
fang gesichcrt. ILs bcslchi jcdoch das Problem, dass diese Si- 
cherung mil hinrcichendcr krimineller Energie umgangen 
werden kann. So konnen bei spiels weise mittels geeigneter 
Gerate Spcichcrbausieinc dcs Mobiltelefons unmittelbar auf 40 
Hardwarccbcne ausgclesen werden. 

[0O04] Die Spcicherung von Nutsuiaten im Mobilgerat ist 
insbesondere dann sinnvoll, wenn das Mobilgerat auch zum 
Ausfuhren von Anwendungsprogrammen zur Verarbeitung 
dieser Nutzdaien eingerichtet isL Diese Funklionalitat ist 45 
heute schon bei leistungsfahigen GSM-Mobiltelefonen so- 
wie bei PDAs gegeben. Fiir Mobilgerate der 2.5-ten und 3- 
ten Generation, z. B. Geraie fur die Netze GPRS (general 
packet radio service), EDGE, UMTS (universal mobile tele- 
communications system) und WCJDMA (wideband code-di- 50 
vision multiple access) ist es wegen der hohen Ubertra- 
gungsgeschwindigkeiten realistisch, Anwendungspro- 
gramme uber die Luftschnittstelle von einem Dienstanbieter 
in das Mobilgerat zu laden und/oder zu aktualisieren. 
[0005] Bei den genannten Mobilgeraten bestehen Pro- 55 
bleme beziehungs weise Verbesserungsbedarf in mehrerlei 
Hinsicht. Erstens soil auch hicr ein unautorisierter Zugriff 
auf Anwendungsprogramme verhindert werden. Es soil also 
sichergestellt sein, dass nur der berechtigte Benutzer ein An- 
wendungsprogramm beziehungs weise einzelne gesicherte 60 
Funktionen des Anwendungsprogramms aufrufen kann. 
Zweitens ware eine Moglichkeit wunschenswert, dem Be- 
nutzer eine moglichst genau auf seine Bediirfnisse zuge- 
schnittene Auswahl von Funktionen anzubieten. Dritiens 
soil cine moglichst wcitgchcndc Gcratcunabhangigkcit dcr 65 
bereitgestellten Funktionen erreicht werden. 
[0006] Die Erfindung hat die Aufgabe, die genannten Pro- 
bleme ganz oder teilweise zu losen. Insbesondere soUen 



durch die Erfindung die Sicherheit und der Schutz gegen un- 
berechtigte Zugriffe auf Nutzdaten und Anwendungspro- 
gramme in einem Mobilgerat erhoht werden. In bevorzugten 
Ausgestaltungen soli die Erfindung ferner hohen Komfort. 
fiir den Benutzer bereitstellen und kostengunsdg verwirk- 
licht werden konnen. 

[0007] ErfindungsgemaB wird diese Aufgabe ganz oder 
zum Teil gelost durch ein Verfaliren mit den Merkmalen der 
Anspriiche 1 beziehungsweise 10, ein Mobilgerat mit den 
Merkmalen der Anspriiche 8 beziehungsweise 17 und ein 
Benutzermodul mit den Merkmalen der Anspriiche 9 bezie- 
hungsweise 19. Die abhangigen Anspruche betreflfen bevor- 
zugte Ausgestaltungen der Erfindung. 

[0008] Die Erfindung geht von der Grundidee aus, durch 
eine geeignete Speicherung der Nutz- beziehungsweise 
Konfigurationsdaten die oben genannten Sicherheitsanfor- 
derungen zu erfuUen. 

[0009] Ein crstcr Aspckt dcr Erfindung betrifft das Spci- 
chem der Nutzxiaten. Diese werden erfindung sgemaB im Ge- 
ratespeicher des Mobilgerats in verschlusselter Form abge- 
legt. Zumindest zum Entschliisseln der Nutzdaten (und in 
bevorzugten Ausgestaltungen auch zum Verschlusscln) die- 
nen entsprechende Funktionen, die vom Benutzermodul be- 
reitgestellt werden. 

[0010] Dadurch, dass die Nutzdaten im Speicher des Mo- 
bilgerats lediglich in verschlusselter Form vorliegen, sind 
diese Daten auch dann gegen Ausspahung gesichert, wenn 
sich ein Unbefugter unter Umgehung der normalen Benut- 
zerschnittstelle des Mobilgerats ZugriflF auf den Inhalt des 
Geratespeichers verschafft. Der in der Regel groSzugig be- 
messene Geratespeicher kann ohne Sicherheitsbedenken zur 
Speicherung der Nutzdaten eingesetzt werden, wodurch sich 
groBere Datenmengen und komplexe Datcnstrukturen im 
Mobilgerat mitfuhren lassen. 

.[0011] Die erfindungsgemaB zur Speicherung vorgesehe- 
nen Nutzdaten konnen behebige vom Benutzer gewiinschte 
Daten sein. Vorzugsweise sind dies Daten, die auch von ei- 
nem auf dem Mobilgerat laufenden Anwendungsprograrrun 
verarbeitet werden konnen, bei spiels weise Termin- und 
Adrcssenlisten zur Verarbeitung durch einen Terminplaner 
mit Adressbuchfunktion, geschaftliche TabeUen z.B. zur 
Verarbeitung durch Tabellenkalkulationsprogramme, 
Sprachdaten beispielsweise erzeugt durch Diktataufzeich- 
nungsprogramme oder allgemeine Texte zur Verarbeitung 
durch Texteditoren. Auch eine Speicherung von Nutzdaten, 
fur die kein entsprechendes Anwendungsprogramm im Mo- 
bilgerat verfugbar ist, kann wunschenswert sein. Das Mobil- 
gerat dient dann als sicherer Datentrager zum Austausch der 
Nutzdaten z. B. zwischen dem Arbeitsplatz und einem 
Heimbiiro. 

[0012] In bevorzugten Ausgestaltungen werden die Ver- 
und Entschlusselungsfunktionen teilweise oder voUstandig 
von einer Prozessoreinheit des Benutzermoduls ausgefuhrt, 
wobei die Prozessoreinheit auf Schliisseldaten zugreift, die 
in einem Modulspeicher enthalten sind. Die Schlusseidaten 
brauchen in diesen Ausgestaltungen das Benutzermodul 
nicht zu vcrlassen, wodurch eine besonders hohe Sicherfieit 
erzielt wird. Dies gilt besonders dann, wenn die Schliissel- 
daten auch innerhalb des Benutzermoduls erzeugt und in 
den Modulspeicher eingeschrieben werden. Es sind jedoch 
auch Ausgestaltungen der Erfindung voigesehen, bei denen 
zumindest das Verschlusscln und moglicfaerweise auch das 
Entschliisseln der Nutzdaten ganz oder teilweise durch eine 
Prozessoreinheit des Mobilgerats ausgefahrt wird, an die die 
vom Benutzermodul bereitgestellten Vcr- und/ oder Ent- 
schliisselungsfunktionen iibertragen werden, 
[0013] Vorzugsweise wird ein asymmetrisches Verschlus- 
selungsverfahren wie z. B. das RSA-Verfahren (RSA = Ri- 
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vest-Shamir- Adleman) eingeseizt. Die Schlusseldaten wei- 
sen dann einen offentlichen Schltissel und einen privaten 
Schliissel auf. Es sind jedoch auch Ausgestaltungen vorge- 
sehen, bei denen symmetrische Verschliisselungsverfahren 
verwendet werden. Konzeptuell wird auch bei diesen Aus- 
gestaltungen von "Ver- und Enischlusselungsfunkiionen" 
gesprochen, auch wenn in beiden Fallen die gleichen Be- 
rechnungsschritte ausgefuhn werden. 

[0014] ErfindungsgeinaB ist zumindesi zuin Ausfuhreri 
der Entschlusselungsschrille das Benulzennodul erforder- 
lich. Dies bewirkl bereits einen gewissen Schutz, weil das 
Benutzermodul und das Mobilgerat geirennt aufbewalirt 
werden konnen. In bevorzugten Ausfiihrungsformen ist je- 
doch vorgesehen, dass zumindest die Enischlusselungsfunk- 
tion nur nach Eingabe cines Kenn worts (passphrase) und/ 
Oder nach einer biometrischen Prufung, z, B. derPrufung ei- 
nes Fingerabdrucks oder einer Sprachanalyse, freigegeben 
wird, Durch dicsc MaBnahmc ist die Datcnsichcrhcii auch 
dann gewahrleistet, wenn das Mobilgerat. zusammen mit 
dem Benutzermodul abhanden kommt. 
[0015] Ein zweiter Aspekt der Erfindung betrifft die Ver- 
wendung von Konfigurationsdaten beini Ausftihren eines 
Anwendungsprogramms in dem Mobilgerat. Dieser Aspekt 
beruht auf der Grundidee, durch die Konfigurationsdaten die 
Verfugbarkeit des gesauilen Anwendungsprogmiiuiis oder 
einzelner Funktionen des Anwendungsprogramms anzuge- 
ben. Die Konfigurationsdaten werden im Benutzermodul 
gespeichert, wahrend das Anwendungsprogramm im Mobil- 
gerat vorliegt. Das Anwendungsprogramm wird nur dann 
bzw. nur in dem Umfang ausgefiihrt, wie dies durch die 
Konfigurationsdaten angegeben ist. 

[0016] Die erfindungsgemaBe Lehre bietet Schutz gegen 
eine unautorisierte Ausfiihrung des Anwendungsprogramms 
bzw. einzelner Prograrmnfunktionen, da neben dem Mobil- 
gerat stets auch das Benutzermodul mit den entsprechenden. 
die Progranmiausfuhrung zulassenden Konfigurationsdaten 
erforderlich ist Femer schafift die Erfindung die technischen 
Grundlagen, um eine genau auf die Bediirfnisse des Benut- 
zers zugeschnitteneJProgrammkonfiguration bereitzusteilen. 
Dies ist insbesondere dann von Bedeutung, wenn fUr die 
Programnibenutzung ein von der zur Verfiigung gestellten 
Funktionalitat abhangiges Entgelt zu enUichten ist, wie dies 
beispielsweise bei ASP-Angeboten (ASP = application ser- 
. vice providing) der Fall ist. Da erfindung sgemaB die Konfi- 
gurationsdaten im Benutzermodul gespeichert sind, kann 
der Benutzer durch einfaches Uihstecken des Benutzermo- 
duls die von ihm gewunschte Konfiguration bei beliebigen 
kompatiblen Mobiigeraten einstellen. 
[0017] Uoter dem hier verwendeten Begriff "Anwen- 
dungsprogramm" sind insbesondere Programme zu verste- 
hen, die Datenverarbeitungsfunktionen hinsichtUch der 
oben genannten Nutzdaten ausftihren. Wenn es sich bei dem 
Mobilgerat um ein Gerat mit Telekommunikationsfunktio- 
nen handelt, sind die Anwendungsprogramme vorzugsweise 
unabhangig von diesen Telekommunikationsfunktionen 
Oder zumindest auch fiir andere Zwecke nutzbar. Beispiele 
typischer Anwendungsprogramme sind Terminplaner, 
Adressbucher, Texteditoren, Tabellenkalkulationspro- 
gramme. Datenbanken. Diktataufzifcichnungsprogranune 
und so weiter. Auch Programme, die nur Benutzeroberfla- 
chen fur die oben genannten oder ahnliche Anwendungen 
bereitstellen (wahrend die eigentlichen Datenverarbeitungs- 
vorgange durch den Server eines ASP-Anbieters ausgefuhrt 
werden), soUen im hier verwendeten Sinne als Anwen- 
dungsprogramme aufgcfasst werden. In manchcn Ausge- 
staltungen sind auch Browser und Viewer zur formatierten 
Anzeige von Dokumenten als Anwendungsprogramme vor- 
gesehen. 



[0018] Zur weiteren Erhohung des Schuizes gegen eine 
unberechtigte Ausfiihrung der Anwendungsprogranune ist 
vorzugsweise das Auslesen der Konfigurationsdaten diirch 
ein Kennwort und/oder eine biometrische Uherpriifung, 
5 z. B. eine Stimm- oder Fingerabdruckanalyse, gesichert. 
Das Benutzermodul gibt nur dann die Konfigurationsdaten 
fi-ei und ermoglicht dadurch das Ausftihren des entsprechen- 
den Anwendungsprogramms beziehungsweise der entspre- 
chenden Programmfunktion, wenn sich der Benutzer durch 
to das Kennwort und/oder seine biometrischen Daten hinrei- 
chend identifizieren konnte. 

[0019] Die erfindungsgemaBe Funktionalitat ist auch bei 
Mobiigeraten einseizbar, die ein oder mehrere fest gespei- 
cherte Anwendungsprogramme enthalten. Vorzugsweise 

15 dienen die Konfigurationsdaten jedoch auch dazu, das La- 
den von Anwendungsprogrammen oder zumindest Teilen 
davon in das Mobilgerat zu steuem. Insbesondere bei Mo- 
biigeraten, die Icistungsfahigc Funktionen zur drahtlosen 
Datenubertragung aufweisen, konnen die Anwendungspro- 

20 gramme oder die benotigten Programmmodule iiber die 
Luftschnittstelle von einem extemen Dienstanbieter geladen 
werden. Diese Moghchkeit ist im Zusammenhang mit ASP- 
Angeboten besonders vorleilhaft Der Komfort fiir den Be- 
nutzer wird eilieblich gesieigert, wenn er bereits durch die 

25 bloBe Verwendung des Benutzennoduls auf jedem kompati- 
blen Mobilgerat ein automatisches Laden der benotigten 
Anwendungsprogramme entsprechend seiner Konfiguration 
initiieren kann. Das herstellerunabhangige Laden von An- 
wendungsprogrammen wird durch die Verwendung von 

30 Programmiersprachen unterstutzt, die unabhangig von der 
Rechnerplattform arbeiten, wie dies beispielsweise auf Ja- 
va® zutrifft. 

[0020] Besonders vorteilhaft ist eine Verbindung der bei- 
den genannten Aspekte der Erfindung, weil dadurch ein 
35 Schutz gegen unberechtigten Zugriff auf die Nutzdaten und 
ein Schutz gegen die unberechtigte Ausfiihrung von Anwen- 
dungsprogrammen erreicht wird. 

[0021] Das Mobilgerat ist in bevorzugten Ausgestaltun- 
gen beider oben genannter Aspekte ein Telekommunikati- 

40 onsgerat, insbesondere ein Mobiltelefon oder ein personli- 
cher digitaler Assistent (PDA) mit Telefoniefunktionen. Das 
Benutzermodul ist vorzugsweise ein Teilnehmeridentifikati- 
onsmodul (SIM = subscriber identification module), wie es 
auch zur Einbuchung in ein Telekommunikationsnetz beno- 

45 tigt wird. Insbesondere kann ein Benutzermodul voigesehra 
sein, das als sogehanntes trusted device oder tamper resi- 
stant device manipulationsgesichert ist, so dass ein Ausspa- 
hen der Ver- und Sitschliisselungsfiinktionen oder der 
Schlusseldaten oder vertraulicher Konfigurationsdaten ver- 

50 hindert wird. Die Verwendung eines Teilnehmeridentifikati- 
onsmoduls bietet sich auch dann an, wenn das Mobilgerat 
keine Telefoniefunktionen aufweist oder das Modul nicht 
bei einem Telefonieanbieter registriert ist, weil derartige 
Module in groBen Stiickzahlen hergestellt werden und da- 

55 durch relaiiv kostengiinstig verfiig bar sind. 

[0022] Das Mobilgerat und das Benutzermodul sind vor- 
zugsweise mit Merkmalen weitergebildet, die den oben be- 
schriebenen und/oder in den abhangigen Verfahrensansprti- 
chen genannten Merkmalen entsprechen. 

60 [0023] Weitere Merkmale, Vorteile und Aufgaben der Er- 
findung gehen aus der folgenden genauen Beschreibung ei- 
nes Ausfiihrungsbeispiels der Erfindung und mehrerer Aus- 
fiihrungsaltemativen hervor. Es wird auf die schematische 
Zeichnung verwiesen, in der Fig. 1 ein Blockdiagramm we- 

65 scntlichcr Funktionscinhcitcn cines Systems nach dem vor- 
Uegend beschriebenen Ausfuhrungsbeispiel der Erfindung 
zeigt 

[0024] In Fig. 1 sind ein Mobilgerat 10 und ein Benutzer- 
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m-odul 12 dargesiellt, die uber eine Schnittstelle 14 mitein- 
atnder verbunden sind. Das Mobilgerat 10 ist im vorliegen- 
den Ausfiihrungsbeispiel als leistungsfahiges Mobiltelefon 
ausgestaltet, das Telekommunikationsfunktionen gemaR den 
Srandards GSM fiir Telefoniedienste und GPRS fur Daten- 5 
ubertragungsdienste bereitstellt. Entsprechend ist das Be- 
nutzermodul 12 als SIM-Karle ausgebildet, welche in das 
NXobiltelefon eingesetzt wird oder test im Mobiltelefon an- 
geordnet ist. Uber eine Luftschnittstelle 16 vermag das Mo- 
bilgerat 10 auf ein entsprechendes Telekonnmunikationsnetz lO 
ISzuzugreifen, In Ausfiihrungsaltemativen ist das Mobilge- 
rat 10 nach einem weiterentwickelten Mobilfunkstandard, 
z. B. UMTS, und/oder als personlicher digitaler Assistent 
(PDA) ausgestaltet. 

[OC25] In an sich bekannter Weise weist das Mobilgerat 10 t5 
einen Hochfrequenzteil 20 auf, der Funkwellen uber eine 
Amtenne 22 sendet und empfangt. Ein digitaler Signalpro- 
zcssor (DSP) 24 dicnt zur Vcrarbcitung dcs Sonde- bzw. 
Empfangssignals. Ferner verarbeitet der digitale Signalpro- 
zessor 24 Niederfrequenzsignale, die uber einen Niederfre- 20 
quenzteil 26 an einen Lautsprecher 28 geleitet werden be- 
ziehungsweise von einem Mikrofon 30 uber den Niederfre- 
quenzteil 26 an den digitalen Signalprozessor 24 ausgege- 
ben werden. Eine Prozessoreinheit 32 koordiniert ,alle im 
Mobilgerat 10 ablaufenden Vorgange. Die Prozessoreinheit 25 
32 ist irat der Schnittstelle 14, dem digitalen Signalprozes- 
sor 24, einer hier als grafikfahiges LCD-Display ausgestal- 
teten Anzeige 34, einer Tastatur 36 und einem Geratespei- 
cher 38 verbunden. Der Geratespeicher 38 kann fest instal- 
liert Oder abnehmbar, beispielsweise in Form einer Spei- 30 
cherkarte, ausgefiihrt sein. 

[0€26] Der Geratespeicher 38 ist durch mehrere Halblei- 
terchips in unterschiedlichen Speichertechnologien imple- 
mentiert. In der konzeptionellen Darstellung von Fig. 1 
weist der Geratespeicher 38 einen nur-lesbaren Bereich 40 35 
(z. B. implementiert als maskenprogranimiertes ROM) und 
einen beschreibbaren Bereich 42, z. B. implementiert als 
RAM oderEEPROM oder FLASH-Speicher, auf. Der nur- 
lesbare Bereich 40 des Geratespeichers 38 enthalt insbeson- 
dere Betriebsprogramme 44, die von der Prozessoreinheit 40 
32 als grundlegendes Betriebssystem des Mobilgerats 10 so- 
wie zur Implementierung der Telekommunikationsfunktio- 
nen ausgefuhrt werden. In den beschreibbaren Bereich 42 
sind Anwendungsprogramme 46 und Nutzdaten 48 geladen. 
[0O27] Fig. 1 zeigt als Beispiel fur die Anwendungspro- 45 
gramme 46 einen Terminplaner 46.1 (mit Adressbuchfiank- 
tion) und einen Texteditor 46^. Als Nutzdaten 48 sind in 
Fig. 1 eine Terrain- und Adressenliste 48.1 fur den Termin- 
planer 46,1 und ein Brief 48 fur den Texteditor 46.2 darge- 
stellt. Die Anwendungsprogramme 46 werden von der Pro- 50 
zessoreinheit 32 ausgefiihn und greifen auf die Nutzdaten 
- 48 zu. Die Nutzdaten 48 sind im Geratespeicher 38 ver- 
schlusselt abgelegt, was in Fig. 1 durch eine Schraffur ange- 
deutet ist. 

[0028] Das Benutzermodul 12 ist als Teilnehmeridaitifi- 55 
kationsmodul (SIM) fUr das Telekommunikationsnetz 18 
ausgestaltet, und auch die Schnittstelle 14 entspricht mecha- 
nisch und elektrisch den fiir dieses Telekommunikationsnetz 
18 vorgesehenen Normen. Das Benutzermodul 12 weist eine 
als Mikrocontroller ausgestaltete Prozessoreinheit 50 auf, 60 
die auf einem einzigen Chip mit einem Modulspeicher 52 
integriert isL Der Modulspeicher 52 ist durch unterschiedli- 
che Speichertechnologien in einen nur-lesbaren Bereich 54 
und einen beschreibbaren Bereich 56 unterteilt. 
[0029] Der Modulspeicher 52 enthalt Stcucrprogrammc 65 
und Daten, die erstens grundlegende Betriebssystemfiinktio- 
nen fUr das Benutzermodul 12 bereitstellen und zweitens 
das Einbuchen und den Telekommunikationsbetrieb des 



Mobilgerats 10 im Hinblick auf das Telekommunikations- 
netz 18 ermoglichen. Aus Griinden der Obersichtlichkeit 
sind diese Steuerprogramine und Daten in Fig. 1 nicht ge- 
sondert dargestellt. Fiir die erfindungsgemaSen Aspekte des 
hier beschriebenen Ausfiihrungsbeispiels besonders rele- 
vant und deshalb in Fig. 1 gezeigt sind kryptographische 
Funktionen 58 im nurlesbaren Bereich 54 des Modulspei- 
chers 52 sowie Schiusseldaten 60 und Konfigurationsdaten 
62 im beschreibbaren Bereich 56. 

[0030] Die kryptographischen Funktionen 58 enthalten 
eine Verschliisselungsfunktion 64, eine Entschlusselungs- 
funktion 66 und eine Schlusselerzeugungsfunktion 68. Die 
Schiusseldaten 60 teilen sich in einen offendichen Schlussel 
70 und einen privaten Schlussel 72 auf. Die Konfigurations- 
daten 62 weisen fiir jedes im Mobilgerat 10 vorgesehene 
Anwendungsprogramm 46 einen entsprechenden Konfigu- 
rationsdatensatz auf, namlich im hier beschriebenen Aus- 
fuhrungsbcispicl einen Konfigurationsdatcnsatz 62.1 fur den 
Terminplaner 46.1 sowie einen Konfigurationsdatensatz 
62.2 fiir den Texteditor 46.2. 

[0031] Im Betrieb stellt das in Fig. 1 gezeigte System die 
iiblichen Telekommunikationsfunktionen entsprechend den 
jeweiligen Standards, im vorliegenden Fall GSM und 
GPRS, bereit. Zusatzlich kann der Benutzer die Anwen- 
dungsprograimue 46 aafrufen und mil diesen die Nutzdaten 
48 oder andere Daten bearbeiten. 

[0032] Zum Bereitstellen der Anwendungsprogramme 46 
greift das Mobilgerat 10 beim Einschalten oder spatestens, 
wenn der Benutzer ein Anwendungsprogramm 46 starten 
mochte, auf die Konfigurationsdaten 62 im Benutzermodul 
12 zu. Dieser Zugriff erfolgt uber die Prozessoreinheit 50 
des Benutzermoduls 12, die ihrerseits zunachst eine Kenn- 
worteingabe anfordert, bevor sie den Zugriff freigibt. Die 
Kennwortanforderung wird auf der Anzeige 34 des Mobil- 
gerats 10 angezeigt, und der Benutzer gibt das entspre- 
chende Kennwort uber die Tastatur 36 ein. Die Korrektheit 
des Kennworts wird durch die Prozessoreinheit 50 iiber- 
pruft. 

[0033] Hat der Benutzer das korrekte Kennwort eingege- 
ben, so ubertragt das Benutzermodul 12 die angeforderten 
Konfigurationsdaten 62 (entweder alle Konfigurationsdaten 
62 oder nur den fiir das jeweilige Anwendungsprogramm 
46.1, 46.2 vorgesehenen Datensatz 62.1, 62.2) an das Mobil- 
gerat 10. Die Prozessoreinheit 32 uberpruft nun, ob gemaB 
den ubertragenen Konfigurationsdaten 62, 62.1, 62.2 die 
Ausfuhrung von Anwendungsprogrammen 46 oder des kon- 
kret angeforderten Anwendungsprogramm s 46.1, 46.2 zu- 
lassig ist. Ist dies der Fall, so wird die ProgrammausfUhrung 
freigegeben. 

[0034] Wenn sich das gewunschte Anwendungsprogramm 
46.1, 46.2 bereits im Geratespeicher 38 befindet, kann das 
Programm ohne weiteres gestartet werden. Andemfalls wird 
das benodgte Programm iiber die LAiftschnittstelle 16 und 
das Telekommunikationsnetz 18 von einem Server eines 
ASP-Anbieters in den Geratespeicher 38 geladen. Auch die- 
ser Download- Vorgang niuss durch das Benutzermodul 12 
autorisiert werden, das hierbei als sogenannter gatekeeper 
arbeitet. Selbst wenn das gewunschte Anwendungspro- 
gramm 46.1, 46.2 bereits im ( jeratespeicher 38 enthalten ist, 
kann dennoch eine Anfrage uber die Luftschnittstelle 16 
beim ASP-Dienstanbieter erfolgen, um erstens Abrech- 
nungsdaten zu iib^lragen und zweitens gegebenenfalls vor- 
liegende Ptogrammaktualisierungen in das Mobilgerat 10 zu 
ubernehmen. 

[0035] Die Konfigurationsdaten 62 bcUrcffai im hier be- 
schriebenen Ausfuhrungsbeispiel nicht nur die grundlegen- 
den BenutzerberechUgungen, sondem auch bevorzugteEin- 
stellungen der Anwendungsprogramme 46, beispielsweise 
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voreingestellte Dateipfade, Spracheinstellungen, Menukon- 
figurationen und sonstige Benutzeqjraferenzen. Diese Ein- 
stellungen werden den aufgerufenen Anwendungspro- 
gramm 46 zuganglich gemachl, so dass der Benut7er immer 
mit der von ihm gewunschten Programmkonfiguration ar- 
beiteL Dies gilt auch dann, wenn der Benutzer sein Benut- 
zemiodul 12 mit einem neuen oder anderen Mobilgeral 10 
verbindet. 

[0036] Bei hinreichender Standardisierung der Anwen- 
dungsprogrammierungsschnitLslellen (APIs = application 
programming interfaces), wie sie beispielsweise durch Ver- 
wendung der Programmiersprache Java® mittelfristig zu er- 
warten ist, kann damit ein ASP-Anbieter fur jeden Benutzer 
maBgeschneiderte und von dcm benutzten Mobilgerat 10 
. unabhangige Anwendungsprogrammdienste anbieten. 
tiberdies wird ein hohes Sicherheitsniveau eireicht, da 
samtliche Anwendungsprogramme 46 nur bei Vorhanden- 
scin dcs Bcnutzermoduls 12 und nach Kcnnwortcingabc 
aufrufbar sind. Um einen Missbrauch bei einem Diebstahl 
des Mobilgerats 10 in eingeschaltetem Zustand (nach der 
Kennworteirigabe durch den Benutzer) zu verhindem, kann 
vorgesehen sein, dass nach einer Unterbrechung der Benut- 
zeraktivitat fur eine vorbestixiunte Dauer wieder eine Kenn- 
worteingabe angefordert wird, wie dies beispielsweise bei 
Bildschinnschonem fur statiqnare Biirocoinputer bereits an 
sich bekannt ist. 

[0037] In dem bisher beschriebenen Ausfiihrungsbeispiel 
wurde als kleinste Einheit fiir den Autorisierungsmechanis- 
mus und gegebenenfalls den Ladevorgang uber die Luft- 
schnittstelle 16 ein Anwendungsprogranim 46 angesehen. 
Abhangig von der eingesetzten Programmiertechnologie . 
kann jedoch auch ein feineres Granularitatsniveau verwen- 
det werden. Es konnen sich also die Konfigurationsdaten 62 
bei?,pielsweise auf die Berechtigung des Benutzers zum 
Ausfuhren einzelner Prograitimfunktionen oder einzelner 
Programm-Module beziehen, und diese Programmfiinktio- 
nen oder Programm-Module konnen bei Bedarf einzeln uber 
die Luftschnittstelle 16 geladen werden. Durch diese Verge- 
hensweise werden erstens lange Ladezeiten vermieden, und 
zweitens kann eine noch genauere Einstellung auf die Be- 
nutzerpraforenzen erfolgen. Auch bei der Aktualisierung 
von Anwendungsprogramm.en 46 uber die. Luftschnittstelle 
16 werden vorzugsweise nur solche Programm-Module 
iibertragen, die sich gegenuber der bereits im Mobilgerat 10 
befindlichen Version tatsachlich verandert haben. 
[0038] Die von den Anwendungsprogrammen 46 bearbei- 
teten Nutzdaten 48 sind im Geratespeicher 38 entweder 
voUstandig oder zumindest teilweise in verschlusselter 
Form abgelegL Beispielsweise kann dem Benutzer ein Da- 
teisystem zur Speicherung der Nutzdaten 48 bereitgestellt 
werden, bei dem einzelne Ordner oder einzelne Laufwerke 
wahlweise fiir eine verschlusselte oder unverschliisselte Da- 
tenspeicherung eingestellt werden konnen. Eine ahnliche 
.Funktionalitat fiir stationare Biirocomputer ohne Einsatz ei- 
nes Benutzermoduls ist bereits durch das Produkt PGPdisk<S' 
des Herstellers Network Associates, Inc., bekannt 
[0039] Wenn ein Anwendungsprogramm 46 Nutzdaten 48 
in einem zur Verschliisselung vorgesehenen Bereich des Da- 
teisystems speichem mochte, werden diese Daten von der 
Prozessoreinheit 32 uber die Schnittstelle 14 an das Benut- 
. zermodul 12 ubertragen. Die Prozessoreinheit 50 des Benut- 
zermoduls 12 fuhrt die Verschlusselungsfunktion 64 aus, 
wobei der in den Schlusseldaten 60 enthaltene offentliche 
SchlOssel 70 herangezogen wird. Die verschlUsselten Nutz- 
daten 48 werden iibcr die Schnittstelle 14 und die Prozesso- 
reinheit 32 in den Geratespeicher 38 geschrieben. . 
[0040] Der Zugriflf auf verschlusselt abgelegte Nutzdaten 
48 erfolgt entsprechend. Auch hier fuhrt die Prozessorein- 
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heit 50 des Benutzermoduls 12 die eigenlliche EntschlOsse- 
lung unter Verwendung der Entschlusselungsfunktion 66 
und des privaten Schlussels 72 aus. Vorab fordert die Pro- 
zessoreinheit 50 jedoch eine Ken n worteingabe votti Benut- 
5 zer an. Erst wenn das konrekte Kennwort (passphrase) auf 
der Tastatur 36 eingegeben wurde (oder eine sonstige bio- 
rneuische Identifizierung des Benutzers korrekt durchge- 
fuhrt wurde), wird der Entschlusselungsvorgang freigege- 
ben. 

10 [0041] Im hier beschriebenen Ausfuhrungsbeispiel wird 
die Ver- und Entschlusselung nach einem asymmetrischen 
RSA-Verfahren durchgefuhrt. In Ausfuhrungsaltemativen 
sind dagegen andere asymmetrischeoder symmetrische Ver- 
und Entschlusselungsverfahren oder Mischformen davon, 
15 z. B. symmeunsche Verschlusselung unter Verwendung ei- 
nes asymmetrisch verschlUsselten Schlussels, vorgesehen. 
Bei symmetrischen Verfahren braucht nicht zwischen dem 
offcntlichcn Schlusscl 70 und dcm privaten Schlusscl 72 un- 
terschieden zu werden. 
20 [0042] Insgesamt wird durch die hier vorgeschlagene • 
Technik sichergestellt, dass die verschlusselten Nutzdaten 
48 nur dann ausgelesen werden konnen, . wenn das Benutzer- 
modul 12 des berechtigten Benutzers an die Schnittstelle 14 
angeschlossen ist und der Benutzer sich, z. B. mittels der 
25 passphrase, korrekt identifiziert hat. 

[0043] Im vorliegenden Ausfuhrungsbeispiel wird der ge- 
sainte Ver- und Entschliisselungsprozess von der Prozesso- 
reinheit 50 des Benutzermoduls 12 durchgefuhrt, wobei die 
Schlusseldaten 60 niemals das Benutzermodul 12 verlassen. 
30 Es sind jedoch auch Ausfuhrungsaltemativen vorgesehen, . 
bei denen die Verschlusselungsfunktion 64 und der offentli- 
che Schliissel 70, der nicht geheimgehalten zu werden 
braucht, an das Mobilgerat 10 ubergeben werden, so dass 
der Verschlusselungsvorgang durch die in der Regel lei- 
35 stungsfahigere Prozessoreinheit 32 des Mobilgerats 10 
durchgefuhrt werden kann. Fiir den Entschlusselungsvor- 
gang kann in manchen Ausfuhrungsaltemativen ebenfalls 
. die Prozessoreinheit 32 herangezogen werden, solange da- 
durch die Sicherheit des privaten Schlussels 72 nicht. kom- 
40 promittiert wird. 

[0044] Zur Erzeugung der Schlusseldaten 60 wird im vor- 
liegenden Ausfuhrungsbeispiel die Schlusselerzeugungs- 
fLinktion 68 verwendet, die ebenfalls vqn der Prozessorein- 
heit 50 des Benutzermoduls 12 ausgefuhrt wird. Auf an sich 
45 bekannte Weise berechnet dieses Programm ein Paar aus 6f- 
fentlichem Schlusscl 70 und privatem Schlussel 72. Durch 
diese MaBnahme wird besonders hohe Datensicherheit ge- 
wShrleistet, weil der private SchlOssel 72 auch bei der 
Schliisselerzeugung das Benutzermodul 12 nicht verlasst 
50 [0045] Das hier beschriebene Ausfuhrungsbeispiel ist 
nicht auf einen einzigen verschlusselten Bereich fur die 
Nutzdaten 48 und nicht auf ein einziges Verschlusselungs- 
verfahren beschrankt. So kann beispielsweise -. entspre- 
chende Legitimierung durch die passphrase vorausgesetzt - 
55 ein verschlusselter Bereich jederzeit deaktiviert und damit 
frei zuganglich gemacht werden. Auch eine emeute Ver- 
schlusselung mit demselben oder einem anderen Bcnutzer- 
modul 12 ist moglich, Es konnen auch mehrere verschliis- 
selte Bereiche, gegebenenfalls . mit unterschiedlichen 

60 Schlusselpaaren und/oder in verschiedenen GroBen, ange- 
legt und verwaltet werden. 

[0046] Insbesondere bei der vorliegenden Ausgestaltung, 
die einen ASP-Aribieter vorsieht, konnen die verschlussel- 
ten Nutzdaten 48 zusStzlich zur Speicherung im Mobilgerat 
65 10 auch uber die Luftschnittstelle 16 zu einem Server dcs 
ASP-Anbieters ubertragen und dort gespeichert werden. 
Eine Synchronisierung der beiderseitig gespeicherten Nutz- 
daten 48 kann bei jedem Schreibzugriff eines Anwendungs- 
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prrc^ramms 46 oder beim Beenden einer Benutzersitzung 
ocJer auf ausdruckliche Anforderung des Benutzers erfolgen. 
D«rBenut2er hat dann einerseits schnellen Zugriff auf die 
loka! gespeicherten Nutzdaten 48 und ist andererseits von 
dem verwendeten Mobilgerat 10 unabhangig, weil er die 5 
beim ASP-Anbieter gespeicherten Nutzdaten 48 auch riiit 
je<iem anderen Mobilgerat abrufen kann. 
[O047] Femer kann in manchen Ausgestalt.ungen vorgese- 
hen sein, eine Schlusselkomponenie beim Netzbetxeiber 
cxder dem ASP-Anbieter zu belassen. Nach erfolgreicher lO 
Einbuchung des Mobilgerats 10 in das Telekommunikati- 
onsnetz 18 wird diese Schlusselkomponenie uber die Luft- 
schnittstelle 16 ilbertragen, so dass der Netzbetreiber oder 
ASP-Anbieter die Kontrolle uber bestinimte im Mobilgerat 
lO gespeicherte Nutzdaten 48 mit dem Benutzer teilt. 15 

PateniansprOche 

1. Verfahren zum Speichem von und Zugreifen auf 
Nutzdaten (48) in einem Mobilgerat (10), insbesondere 20 
einem Mobiltelefon oder einem pers5n lichen digitalen 
Assistenten, das einen Geratespeicher (38) aufweist 
und das iiber eine Schnittstelle (14) mit einem Benut- 
zennodul (12) verbunden ist, dadurch gekennzeich- 
oet, dass 25 
die Nutzdaten (48) im Geratespeicher (38) des Mobil- 
gerats (10) zumindest teilweise in verschlusselter Form 
gespei chert werden, und dass 

zumindest das Entschlilsseln der Nutzdaten (48) bei 
Zugriffsvorgangen unter Verwendung einer Entschliis- 30 
selungsfunktion (66) erfolgt, die durch das Benutzer- 
modul (12) bereitgesteUt wird. 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, dass femer das Verschliisseln der Nutzdaten (48) 
bei Speichervoigangen unter Verwendung einer Ver- 35 
schlusselungsfunktion (64) erfolgt, die durch das Be- 
nutzermodul (12) bereitgesteUt wird. 

3. Verfahren nach Anspruch 1 und Anspruch 2, da- 
durch gekennzeichnet, dass das Benutzermodul (12) ei- 
nen Modulspeicher (52) aufweist, in dem die von dem 40 
Benutzermodul (12) bereitgestellten Ver- und Ent- 
schliisselungsfunktionen (64, 66) sowie von diesen 
Funktionen (64, 66) verwendete Schliisseldaten (60) 
enthalten sind, und dass die Ver- und Entschlusselungs- 
funktionen (64, 66) zumindest teilweise von einer Pro- 45 
zessoreinheit (50) des Benutzennoduls (12) ausgefuhn 
werden. 

4. Verfahren nach Anspruch 3, dadurch gekennzeich- 
net, dass durch das Benutzermodul (12) mindestens 
eine Funktion (68) zum Erzeugen der Schliisseldaten 50 
(60) und zum Schreiben der Schliisseldaten (60) in den 
Modulspeicher (52) bereitgesteUt wird, 

5. Verfahren. nach einem der Anspruche 1 bis 4, da- 
durch gekennzeichnet, dass zumindest die Ausfuhrung 
der Entschlusselungsfiinktion (66) durch ein Kennwort 55 
und/oder eine biometrische PrUfung geschutzt ist. 

6. Verfahren nach einem der Anspriichc 1 bis 5, da- 
durch gekennzeichnet, dass das Mobilgerat (10) ein 
auch fur Telekommunikationsfunktionen eingerichte- " 
tes Gerat ist. 60 

7. Verfahren nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, dass das Benutzermodul (12) 
ein auch zur Einbuchung in ein Telekommunikations- 
netz (18) vorgesehenes Teilnehmeridentifikationsmo- 
dul isL 65 

8. Mobilgerat (10), insbesondere Mobiltelefon oder 
personUcher digitaler Assistent, das einen Geratespei- 
cher (38) und eine ScbnittsteUe (14) zum Anschluss ei- 



nes Benutzennoduls (12) aufweist, dadurch gekenn- 
zeichnet, dass 

iiber die ScbnittsteUe (14) Ver- und Entschliisselungs- 
funktionen (64, 66) des Benutzennoduls (12) aufrufbar 

sind, und dass 

der Geratespeicher (38) mindestens einen Bereich fur 
verschliisselte Nutzdaten (48) aufweist, der zum Be- 
schreiben und Lesen unter Verwendung der Ver- und 
Entschlijsselungsfunktionen (64, 66) des Benutzermo- 
duls (12) eingerichtet ist 

9. Benutzermodul (12), insbesondere Teilnehmeriden- 
tifikationsmodul fiir ein Telekommunikationsnetz (18), 
das dazu eingerichtet ist, in Zusammenwirken mit ei- 
nem Mobilgerat (10) nach Anspruch 8 ein Verfahren 
nach einem der Anspriiche 1 bis 7 auszufuhren. 

10. Verfahren zum Speichem von und Zugreifen auf 
Konfigurationsdaten (62) sowie zum Ausfuhren min- 
destens cincs Anwcndungsprogranrmis (46) in cincm 
Mobilgerat (10), insbesondere einem Mobiltelefon 
oder einem personlichen digitalen Assistenten, das ei- 
nen Geratespeicher (38) fiir das Anwendungspro- 
granun (46) aufweist und das uber eine ScbnittsteUe 
(14) mit einem einen Modulspeicher (52) aufweisen- 
den Benutzermodul (12) verbunden ist, dadurch ge- 
kennzeichnet, dass 

die Konfigurationsdaten (62) zumindest auch die Ver- 
fiigbarkeit des Anwendungsprogramms (46) oder ein- 
zelner Funktionen davon betrefPen, und dass 
die Konfigurationsdaten (62) in dem Modulspeicher 
(52) gespeichert sind und aus diesem ausgelesen wer- 
den, um zu bestimmen, ob bzw. in welchem Umfang 
das Anwendungsprogramm (46) ausgefiihrt wird. 

11. Verfahren nach Anspruch 10, dadurch gekenn- 
zeichnet, dass das Auslesen der Konfigurationsdaten 
(62) aus dem Modulspeicher (52) durch ein Kennwort 
und/oder eine biometrische Prufung geschutzt ist. 

12. Verfahren nach Anspruch 10 oder Anspruch 11, 
dadurch gekennzeichnet, dass zumindest Telle des An- 
wendungsprogramms (46) entsprechend den Konfigu- 
rationsdaten (62) in den Geratespeicher (38) geladen 
werden. 

13. Verfahren nach einem der Anspriiche 10 bis 12, 
dadurch gekennzeichnet, dass das Mobilgerat (10) ein 
auch fiir Telekommunikationsfunktionen eingerichte- 
tes Gerat ist. 

14. Verfahren nach den Anspriichen 12 und 13, da- 
durch gekennzeichnet, dass die Obertragung von zu- 
mindest Teilen des Anwendungsprogramms (46) in den 
Geratespeicher (38) unter Verwendung mindestens ei- 
ner der Telekommunikationsfunktionen des Mobilge- 
rats (10) erfolgt. 

15. Verfahren nach einem der Anspriiche 10 bis 14, 
dadurch gekennzeichnet, dass das Benutzermodul (12) 
ein auch zur Einbuchung in ein Telekonununikations- 
netz (18) vorgesehenes Teilnehmeridentifikationsmo- 
dul ist. 

16. Verfahren nach einem der Anspruche 10 bis 15, 
femer mit den Merkmalen des Verfahrens nach einem 
der Anspriiche 1 bis 5. 

17. Mobilgerat (10), insbesondere Mobiltelefon oder 
personlicher digitaler Assistent, das einen Geratespei- 
cher (38) fiir ein Anwendungsprogramm (46) aufweist 
und das uber eine ScbnittsteUe (14) mit einem einen 
Modulspeicher (52) aufweisenden Benutzermodul (12) 
verbunden ist, dadurch gekennzeichnet, dass 

uber die ScbnittsteUe (14) Konfigurationsdaten (62) 
aus dem Modulspeicher (52) auslesbar sind, die zumin- 
dest auch die Verfligbarkeit des Anwendungspro- 
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graiTims (46) <x1cr cin/.clncr I'unkiionen davon betref- 
fen, und dass 

das Mobilgcriit ( I0> dazu cinycrichic! isi, in Abhangijg* 
kcii von den ;nis dcui Mivliilspcichcr (52) ausgelesenen 
IConfi<*urulionsduicn (62) /.u hcsliinincn, ob bzw. in 5 
wclchcm Uiiifung das Anwcndungsprogramm (46) 
ausgcfuhrl wird. 

18. Mobiliicrai (10) nach Anspruch 17, das dazu ein- 
gcrichiLM isi. in /Aisamincnwirkcn mil einem Benutzer- 
incxiul (12) cin Vcrlahrcn nach cincm dcr Anspriiche 10 
10 bis 16 aus/.ufiihrcn. 

19. Bcnul/.cniiodul (12). insbcsondere Teilnehmeri- 
dcniifikaiionsMKxlul Tiir cin rdckoinmunikationsnetz 
(18), das da/.u cinticrichlci isi. in Zusammenwirken mit 
cinciu Mobil^crai ( 10) nach Anspruch 17 ein Verfahren 15 
nach cincm dcr Anspriiche 10 bis 16 auszufuhren. 
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